← España

PS-00431-2017

1/16 Procedimiento Nº PS/00431/2017 RESOLUCIÓN: R/03428/2017 En el procedimiento sancionador PS/00431/2017, instruido por la Agencia Española de Protección de Datos a la entidad MIRACLIA TELECOMUNICACIONES S.L., vista la denuncia presentada por Dña. C.C.C. y Dña. B.B.B., y en base a los siguientes ANTECEDENTES PRIMERO: Dña. C.C.C. (en lo sucesivo la denunciante 1) manifestó a esta Agencia Española de Protección de Datos, por escrito de denuncia de fecha 20 de septiembre de 2016, que en fecha 15 de septiembre de 2016 acudió a un concesionario y taller de la marca BMW para que su vehículo fuese revisado. Con dicha finalidad proporcionó sus datos en un formulario a un empleado del concesionario. Minutos después de entregar el vehículo recibió una llamada de un número desconocido en la que se le gasta una broma telefónica. Averiguó que el número origen de la llamada estaba vinculado a “Juasapp”, un servicio mediante el que se pueden gastar bromas telefónicas a amigo o conocidos. Puesta en contacto con el prestador del servicio para que bloqueasen su línea con el objeto de no recibir más bromas, se le facilitó el número origen de la broma que proporcionó sus datos. Había tenido conocimiento de que quién utilizó su número de móvil en Juasapp para gastarle una broma fue el empleado del concesionario que recibió el coche. Aportaba para acreditar estos hechos un correo electrónico del prestador del servicio Juasapp en el que le informaban de que el usuario que le había gastado la broma telefónica era el titular del número H.H.H., así como fotografías del perfil de la citada línea en las aplicaciones Whatsapp y Line. SEGUNDO: Dña. B.B.B. (en lo sucesivo la denunciante 2) manifestó a esta Agencia Española de Protección de Datos, por escrito de denuncia de fecha 25 de octubre de 2016, que se había utilizado su número de teléfono F.F.F. para hacerle, con fecha 16 de octubre de 2016, una broma de mal gusto desde una aplicación llamada Juasapp. La denunciante manifestaba igualmente que no había dado su autorización para dicho tratamiento y que desconocía cómo se había obtenido su número. Había solicitado información a la empresa y le indicaron el modelo y la dirección IP del teléfono desde el que se había hecho. Aportaba para acreditar estos hechos un correo electrónico recibido de MIRACLIA TELECOM, S.L. con fecha 17 de octubre de 2017, en el que se informa de que la broma había sido mandada por un amigo o conocido que tenía su número de teléfono. Asimismo, le informaron de que su número de teléfono quedaba bloqueado C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/16 de manera que nadie le pudiera mandar más bromas. En el correo le indicaban los datos del dispositivo y la dirección IP desde el que se envió la broma. TERCERO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se llevaron a cabo actuaciones de investigación en las que se tuvo constancia de lo siguiente: 1. Tal y como consta en la diligencia de 15/02/2017, Juasapp es una aplicación que permite al usuario enviar bromas consistentes en un archivo de audio pregrabado vía telefónica al destino seleccionado por el usuario. El prestador del servicio es MIRACLIA TELECOMUNICACIONES S.L. (MIRACLIA). 2. Con fecha 24 de enero de 2016, MIRACLIA ha remitido a esta Agencia la siguiente información: Juasapp es una aplicación para dispositivos móviles, disponible en las tiendas de aplicaciones de APPLE y GOOGLE. Los usuarios de la aplicación introducen el número de teléfono de la persona destinataria de la broma y eligen la broma. La llamada de teléfono de la broma se realizará en la fecha y hora que indique el usuario y se graba la conversación. La grabación queda a disposición del usuario. Los usuarios de Juasapp son los dueños de la información en cuanto a su uso y deben aceptar los Términos y Condiciones Uso de la misma, también se les recuerda la obligación de cumplir dichas normas de uso en cada una de las llamadas que realizan. La información está disponible en la página web de JUASSAP en la dirección ***URL.1, según la cual: “El usuario, como propietario de la grabación, es plenamente responsable de obtener el consentimiento expreso e inequívoco de la persona que ha recibido la broma, para la grabación y difusión de la misma.” Según manifiestan, la aplicación por sí misma no realiza función alguna. Son los usuarios de la aplicación los que introducen los números de teléfono, lanzan la llamada y activan su grabación. 3. Cuando un usuario decide utilizar dicho servicio, debe de descargarse la APP Juasapp en el terminal. En sistemas iOs el usuario debe cumplimentar un formulario de registro en el que debe facilitar el número de teléfono y se acredita introduciendo un PIN que previamente le ha sido enviado por SMS. En sistemas Android el registro es automático mediante la información facilitada por el propio sistema Android y el control de usuarios que tiene Google, propietaria del sistema operativo y la tienda de aplicaciones Google Play Store. Una vez iniciada la aplicación, la primera vez que se accede, aparece una pantalla de bienvenida con un enlace a los “Términos y condiciones” legales de uso de la aplicación e informa de que al continuar con la aplicación declaras ser mayor de 18 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/16 años y contar con el permiso de la persona receptora para la grabación y difusión de la broma. Al receptor de la broma se le informa del procedimiento para ejercer los derechos de protección de datos de carácter personal y de la procedencia de su número de teléfono, al final de la locución de la broma: “Conforme a la normativa de protección de datos, le informamos que su teléfono ha sido proporcionado por un amigo o conocido suyo. Salvo que Ud. nos comunique su oposición, sus datos personales formarán parte de un fichero titularidad de Miraclia Telecomunicaciones, S.L., cuya finalidad es la gestión de servicios y aplicaciones ofrecidas a los usuarios. Ud. también puede enviar un correo a ***EMAIL.1 en caso de que no quiera que su amigo o conocido pueda descargarse y difundir la broma grabada o en caso de que no quiera recibir más bromas. Puede ejercer sus derechos de acceso, rectificación, cancelación y oposición a Miraclia Telecomunicaciones, S.L., en la dirección ***DIRECCIÓN.1– 28046 – Madrid - España o a través del correo electrónico ***EMAIL.1, acreditando debidamente su identidad”. 4. MIRACLIA dispone de una lista denominada “BLACKLIST” en el que se incluyen los números de teléfono encriptados de las personas que han ejercido el derecho de cancelación u oposición, con la finalidad de impedir que se le vuelva a enviar bromas por ningún usuario. Cuando un receptor solicita la cancelación de sus datos, además de anotar su número en la BLACKLIST, queda registrada la cancelación en cada una de las bromas con el literal “BANEADO”, no siendo posible el acceso a las mismas, ya que el fichero de audio queda eliminado automáticamente. MIRACLIA cuenta con un fichero inscrito en el Registro General de Protección de Datos, con el código ***CÓDIGO.1, denominado USUARIOS DE SERVICIOS Y APP. 5. En el punto 6 de los términos y condiciones del servicio que los usuarios deben de aceptar se indica que “El Usuario, como propietario de la grabación, es plenamente responsable de obtener el consentimiento expreso e inequívoco de la persona que ha recibido la broma, para la grabación y difusión de la misma.” El servicio permite al usuario la grabación de la llamada, en la que se conserva la interacción del receptor de la broma con el audio pregrabado. 6. C/ Jorge Juan, 6 28001 – Madrid Según se desprende del escrito de respuesta de MIRACLIA, para cada uso del servicio, la entidad almacena en un registro:  Identificador de la llamada  Identificador del terminal desde donde se solicita la broma  Título de la broma  Fecha de la broma  Dirección IP desde la que se solicita la broma  Línea de destino  Audio, si se optó por grabar la llamada www.agpd.es sedeagpd.gob.es 4/16  Estado  Visibilidad 7. El 15/09/2016 a las 10:38, un usuario Juasapp con número de teléfono H.H.H. hace uso del servicio para gastar una broma al D.D.D., línea proporcionada como número de contacto por Dña. C.C.C.. Ese mismo día la denunciante envía un correo electrónico de reclamación a MIRACLIA solicitando el bloqueo de sus líneas D.D.D. y E.E.E. y la identidad del origen de la llamada a la que la entidad contesta dos horas después. Como evidencia de este hecho se dispone del correo electrónico remitido por MIRACLIA a la denunciante el 15/09/2016 y aportado en su escrito de denuncia y el escrito de respuesta de MIRACLIA. 8. Además del origen de la llamada, las capturas de pantalla de los sistemas de información aportadas por MIRACLIA muestran que:  No existe audio almacenado de la llamada.  La llamada se encuentra en estado no visible, por lo que el usuario tampoco puede verla.  Las líneas D.D.D. y E.E.E. están incluidas en la lista de teléfonos excluidos como destino de los servicios. 9. En su escrito de respuesta, VODAFONE ESPAÑA SAU identifica a A.A.A. (el denunciado) como titular de la línea H.H.H. en la fecha de los hechos. 10. En respuesta al requerimiento de información remitido por el subinspector actuante, el denunciado manifiesta que:  Es titular de la línea H.H.H. y usuario de Juasapp.  Que nunca ha utilizado Juasapp para realizar una llamada al D.D.D..  No dispone de datos del titular de la línea D.D.D..  En muchas ocasiones efectúa llamadas a clientes de la empresa en la que trabaja VEHINTER SA con motivo de notificaciones del propio servicio.  Que si tales hechos han ocurrido, lo han sido sin su consentimiento ya que su terminal móvil a menudo se halla sobre la mesa de trabajo, al alcance de cualquiera que acceda a la sala de asesoramiento. 11. En el caso concreto de Dña. B.B.B., han verificado que recibió en su línea de teléfono G.G.G., una llamada procedente de un usuario de la aplicación con fecha 16 de octubre de 2016, según han quedado registrado en sus sistemas. No obstante, tras recibir una solicitud de la denunciante, se procedió a borrar el fichero de AUDIO de la misma, por lo que en la actualidad los datos que se conservan de la llamada, de los que aportan copia impresa son: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/16 ID- Identificador de la llamada DID original: Identificador del dispositivo desde el que se realizó Título: Titulo de la broma IP Origen: Dirección IP del usuario de la APP. Destino: número de teléfono destino de la broma Estado del Audio: En este caso figura “baneada”, que, según manifiestan, significa que se ha borrado tras la solicitud de la denunciante. Visibilidad: No visible (en este caso, ni siquiera en la APP queda registro de la broma realizada.) Así mismo, tras la solicitud de la denunciante, se procedió a incluir su número de teléfono en la lista de teléfonos a los que no se pueden enviar bromas por parte de ningún usuario de la aplicación, según la copia impresa de la lista que adjuntan. CUARTO: Con fecha 6 de septiembre de 2017, la Directora de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a MIRACLIA por presunta infracción del artículo 6.1 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.

  1. b)de dicha norma, pudiendo ser sancionada con multa de 40.001 € a 300.000 €, de acuerdo con el artículo 45.2 de la citada Ley Orgánica. A los efectos previstos en el artículo 64.2.
  2. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), en el citado acuerdo de apertura se determinó que, de acuerdo con las evidencias obtenidas con anterioridad a dicha apertura, la sanción que podría corresponder por la infracción del artículo 6.1 de la LOPD sería de 6.000 euros (seis mil euros), sin perjuicio de lo que resulte de la instrucción. Con fecha 22/09/2017 la Directora de la Agencia Española de Protección de Datos acordó el cambio de Instructor del procedimiento. QUINTO: Notificado el acuerdo de inicio, MIRACLIA mediante escrito de fecha 22/09/2017 formuló alegaciones, solicitando el que archivo de actuaciones, por ausencia de infracción alguna, dado que contaba con el consentimiento expreso de la persona afectada, tal como se recoge en las condiciones aceptada por el cliente; manifestando además que la grabación de la voz no implica la violación de ese derecho constitucional, al tener el consentimiento en cualquier caso de una de las partes y que no es un dato personal por sí solo que identifique a la persona, al igual que el número de teléfono. De igual modo, se alegaba que la actividad estaría excluida de la LOPD, al incidir en el campo doméstico del abromado y la persona que quiere gastar la broma en cuestión, una relación íntima y personal entre ellos, y en consecuencia el tratamiento no excedería de ese ámbito, con objeto de mantener una relación social. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/16 SEXTO: Con fecha 6/10/2017 se inició el período de práctica de pruebas, según lo dispuesto en el artículo 77 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante LPACAP), notificándose a MIRACLIA las siguientes: Incorporar al expediente del procedimiento arriba indicado, y por tanto dar por reproducida a efectos probatorios, la documentación recabada en las actuaciones previas de inspección que forman parte de los expedientes E/05449/2016 y E/06356/2016. Asimismo, se dan por reproducidas a efectos probatorios, las alegaciones al acuerdo de inicio del procedimiento PS/00431/2017 presentadas por MIRACLIA. Todo ello con su correspondiente documentación adjunta. SEPTIMO: Con fecha 2/11/2017 y transcurrido el periodo de práctica de pruebas citado en el punto anterior, se inició el trámite de audiencia, de acuerdo con el artículo 82 de la LPACAP, poniéndose de manifiesto el expediente al presunto responsable, y se le concedió un plazo de diez días hábiles para formular alegaciones y aportar cuantos documentos estimase de interés. Asimismo, se le notificó la relación de documentos obrantes en el procedimiento a fin de que pudiera obtener las copias de los que estimase convenientes. OCTAVO: Con fecha 20 de diciembre de 2017 se formuló propuesta de resolución, proponiendo la imposición de una sanción de 6.000 € a MIRACLIA, por la comisión de una infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.
  3. b)de dicha Ley. NOVENO: Con fecha de entrada en esta Agencia 5/01/2018, MIRACLIA realizó alegaciones frente a la citada propuesta de resolución en la que comunica: <<…MIRACLIA TELECOMUNICACIONES, S.L. tampoco tiene ni el nombre ni otros datos del usuario que contrata la broma más que el identificador del dispositivo desde el que se realiza la llamada, el título de la broma y el número de teléfono de destino de la broma. Si las bromas han sido borradas bajo petición de los propios abromados, ni siquiera MIRACLIA tiene acceso a las grabaciones de las bromas pues aparecen “baneadas”. Siendo el número de teléfono y la voz datos que no permiten identificar fácilmente a una persona, consideramos que no se hace tratamiento de datos personales en el presente caso, dicho con los debidos respetos y estrictos términos de defensa (…) De las actuaciones de la inspección y de la información obrante y aportada por MIRACLIA TELECOMUNICACIONES, S.L., en ningún momento se infiere que la persona abromada, de la que únicamente ha aportado su nº de teléfono el usuario de la aplicación (del que sí se puede disponer de datos personales por parte de MIRACLIA TELECOMUNICACIONES, SRL.) pueda ser identificada o sea identificable. De hecho, los únicos datos que en todo el proceso de la broma se pueden tratar y que ha quedado acreditado tanto en las ACTA DE INSPECCIÓN y el ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR que aquí nos trae, son: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/16 Teléfono (habitualmente móvil) - La voz, fruto de la grabación que posteriormente y en cualquier momento puede ser eliminada (…) Por otra parte, la grabación difícilmente permite identificar a una persona (la duración de las bromas es bastante corta) y en este caso, puesto que la realización de las bromas no permite a quien las contrata la audición a tiempo real, se introduce un doble filtro:
  4. a)De una parte, al final de la broma, se facilita al abromado el método para cancelar este dato (que insistimos, consideramos que no es personal aunque se haga referencia a la Ley y como mayor garantía al usuario y al abromado)
  5. b)De otra parte, el usuario tiene la posibilidad de generar o no la grabación, advirtiéndosele previamente según se muestra en la siguiente impresión de pantalla (…) Este hecho, tiene que ser puesto en relación con la propia naturaleza del contrato suscrito entre el usuario y MIRACLIA TELECOMUNICACIONES, S.L a través de los Términos y condiciones de Uso de la aplicación, para cuya ejecución es necesario que el usuario introduzca el número de teléfono del destinatario de la broma y posteriormente solicitar la grabación de la llamada para su posterior escucha…>> HECHOS PROBADOS PRIMERO: La denunciante 1 manifestó a esta Agencia Española de Protección de Datos, por escrito de fecha 20 de septiembre de 2016, que en fecha 15 de septiembre de 2016 acudió a un concesionario y taller de la marca BMW para que su vehículo fuese revisado. Con dicha finalidad proporcionó sus datos en un formulario a un empleado del concesionario. Minutos después de entregar el vehículo recibió una llamada de un número desconocido en la que se le gasta una broma telefónica. Averiguó que el número origen de la llamada estaba vinculado a “Juasapp”, un servicio mediante el que se pueden gastar bromas telefónicas a amigo o conocidos. SEGUNDO: La denunciante 2 manifestó a esta Agencia Española de Protección de Datos, por escrito de fecha 25 de octubre de 2016, que se había utilizado su número de teléfono F.F.F. para hacerle, con fecha 16 de octubre de 2016, una broma de mal gusto desde una aplicación llamada Juasapp. La denunciante manifestaba igualmente que no había dado su autorización para dicho tratamiento y que desconocía cómo se había obtenido su número. Había solicitado información a la empresa y le indicaron el modelo y la dirección IP del teléfono desde el que se había hecho. TERCERO: Juasapp es una aplicación que permite al usuario enviar bromas consistentes en un archivo de audio pregrabado vía telefónica al destino seleccionado por el usuario. El prestador del servicio es MIRACLIA. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/16 CUARTO: Que la entidad MIRACLIA registró los datos personales de las citadas denunciantes, en concreto, sus números de teléfono para realizar las llamadas en cuestión y sus voces, procediendo a grabarlas, al prestar un servicio de alojamiento de contenidos multimedia, para su acceso a través de dispositivos móviles GSM, a través de la APP Juasapp, aplicación que permite a un usuario tercero enviar bromas consistentes en un archivo de audio pregrabado vía telefónica, al número de teléfono de destino seleccionado por dicho usuario. QUINTO: Que, en relación con lo expuesto en el hecho anterior, la Inspección de Datos de esta Agencia ha comprobado que, en su caso, a los receptores de las bromas se les informa del procedimiento para ejercer los derechos de protección de datos de carácter personal y de la procedencia de su número de teléfono, pero ello al final de la locución de la broma, en los siguientes términos: “Conforme a la normativa de protección de datos, le informamos que su teléfono ha sido proporcionado por un amigo o conocido suyo. Salvo que Ud. nos comunique su oposición, sus datos personales formarán parte de un fichero titularidad de Miraclia Telecomunicaciones, S.L., cuya finalidad es la gestión de servicios y aplicaciones ofrecidas a los usuarios. Ud. también puede enviar un correo a ***EMAIL.1 en caso de que no quiera que su amigo o conocido pueda descargarse y difundir la broma grabada o en caso de que no quiera recibir más bromas. Puede ejercer sus derechos de acceso, rectificación, cancelación y oposición a Miraclia Telecomunicaciones, S.L., en la dirección ***DIRECCIÓN.1– 28046 – Madrid - España o a través del correo electrónico ***EMAIL.1, acreditando debidamente su identidad”. SEXTO: Que MIRACLIA no ha aportado documentación alguna a esta Agencia que acredite que contase con el consentimiento de las denunciantes para el tratamiento de sus datos personales, tal como se ha detallado en los puntos anteriores. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  6. g)en relación con el artículo 36 de la LOPD. II El artículo 6.1 de la LOPD dispone lo siguiente: “El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa”. No obstante, el apartado 2 del mencionado artículo contiene una serie de excepciones a la regla general contenida en aquel apartado 1, estableciendo que: “No C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/16 será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado.” El tratamiento de datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre (F.J. 7 primer párrafo) “…consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...).” Por otra parte, el artículo 6 del Reglamento general de protección de datos, Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 94/46/CE, establece que el tratamiento de datos personales “solo será lícito si se cumple la menos una de las siguientes condiciones”: “
  7. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno varios fines específicos;
  8. b)el tratamiento es necesario para la ejecución de un contrato en el que le interesado es parte o para la aplicación a petición de este de medidas precontractuales” (…); norma en vigor y aplicable a partir del 25 de mayo de 2018. Son, pues, elementos característicos del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. En consecuencia, corresponde siempre al responsable del tratamiento comprobar que tiene el consentimiento del afectado cuando realiza algún tratamiento con los datos personales de éste, así, en este sentido la Audiencia Nacional, en sentencia de fecha 31 de mayo de 2006 señalaba: “Por otra parte es el responsable del tratamiento (por todas, sentencia de esta Sala de 25 de octubre de 2002 Rec. 185/2001) a quien corresponde asegurarse de que aquel a quien se solicita el consentimiento, efectivamente lo da, y que esa persona que está dando el consentimiento es efectivamente el titular de esos datos personales, debiendo conservar la prueba del cumplimiento de la obligación a disposición de la Administración, encargada de velar por el cumplimiento de la ley”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/16 “Respecto al consentimiento – dice la sentencia de la Audiencia Nacional de 4 de marzo de 2009 - , es de interés reseñar que el apartado 1 del Art. 6 LOPD exige el consentimiento inequívoco del afectado para el tratamiento de sus datos de carácter personal. El adjetivo "inequívoco" que califica al consentimiento, significa según el Diccionario de la Real Academia Española "que no admite duda o equivocación" y, por contraposición, a equívoco, lo que no puede entenderse o interpretarse en varios sentidos, o que no puede dar ocasión a juicios diversos. La exigencia de que sea inequívoco está relacionada con la forma de prestar el consentimiento, pues el citado precepto no establece ni requiere que tenga que prestarse de forma determinada, ni de forma expresa o por escrito. Esta Sala viene considerando que no es necesario que dicho consentimiento se preste de forma expresa, con base a que no tendría sentido la exigencia de consentimiento expreso para el tratamiento de los datos especialmente protegidos a que se refiere el Art. 7 LOPD. Ahora bien, el consentimiento, como ha dicho esta Sala de forma reiterada, entre otras en la sentencia de 20 de septiembre 2006, tiene que ser inequívoco por parte del titular de los datos pues es él y no un tercero quien tiene el poder de disposición y control sobre sus datos personales, aun cuando no se requiere que se produzca de forma expresa o por escrito pero sí debe reunir los requisitos previstos en el artículo 3h) y 6.1 de la LOPD”. MIRACLIA en este caso no ha aportado prueba documental que acredite que contara con el consentimiento inequívoco de las denunciantes para poder llevar a cabo el tratamiento realizado de sus datos personales (asociando sus datos personales a servicios de internet contratados por un usuario tercero), antes bien, los documentos que obran en el procedimiento evidencian que no contaba con sus consentimientos; sin que pueda considerarse de recibo la alegación de que contaba con la simple declaración de ese usuario tercero de que había recabado el consentimiento de la persona denunciante, víctima de la broma en cuestión. El Grupo de Protección de Datos del Artículo 29, creado en virtud del artículo 29 de la Directiva 95/46/CE, como órgano consultivo europeo independiente en materia de protección de datos y derecho a la intimidad (Comité Europeo de Protección de Datos, de acuerdo con el considerando 139 y el artículo 68.1 del Reglamento General de Protección de Datos de la Unión Europea), en su Dictamen 15/2011 sobre la definición del consentimiento adoptado el 13 de julio de 2011, dice en relación al asunto que estamos analizando que: “Como se describe a continuación, este requisito obliga a los responsables del tratamiento a crear procedimientos rigurosos para que las personas den su consentimiento; se trata de, o bien buscar un claro consentimiento expreso o bien basarse en determinados tipos de procedimientos para que las personas manifiesten un claro consentimiento deducible. El responsable del tratamiento debe además asegurarse suficientemente de que la persona que da su consentimiento es efectivamente el interesado. Esto tiene especial importancia cuando el consentimiento se autoriza por teléfono o en línea. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/16 La prueba del consentimiento plantea una cuestión relacionada con lo anterior. Los responsables del tratamiento que se basen en el consentimiento pueden desear o necesitar demostrar que el consentimiento se ha obtenido, por ejemplo, en el contexto de un litigio con el interesado. Efectivamente, en algunos casos se les podrá pedir que aporten estas pruebas en el marco de medidas ejecutivas. Como consecuencia de ello y como cuestión de buena práctica los responsables del tratamiento deben crear y conservar pruebas de que el consentimiento fue efectivamente dado, lo que significa que el consentimiento debería ser demostrable”. El citado Reglamento General de Protección de Datos de la Unión Europea 2016/679 en su artículo 7.1) sintetiza, por su parte, en relación con el consentimiento del interesado que “el responsable deberá ser capaz de demostrar que aquel consintió el tratamiento de sus datos personales”. Cabe decir por tanto que, ante la falta de acreditación por parte de la entidad imputada del consentimiento inequívoco de las personas denunciantes para el tratamiento de sus datos personales, y ante la ausencia de cobertura legal que amparase dicho tratamiento sin consentimiento, se estima vulnerado por la entidad imputada el artículo 6.1 de la LOPD. Abundando en este sentido, procede citar la sentencia de la Audiencia Nacional de fecha 21 de diciembre de 2001 en la que se declaraba que “de acuerdo con el principio que rige en materia probatoria (art. 1214 del Código Civil) la Agencia de Protección de Datos probó el hecho constitutivo que era el tratamiento automatizado de los datos personales de D. (…) (nombre, apellidos y domicilio), y a la recurrente incumbía el hecho impeditivo o extintivo, cuál era el consentimiento del mismo. Es decir, (...) debía acreditar el consentimiento del afectado para el tratamiento automatizado de datos personales, o justificar que el supuesto examinado concurre alguna de las excepciones al principio general del consentimiento consagrado en el art. 6.1 de la Ley Orgánica 5/1992. Y nada de esto ha sucedido”. Y reiterar que MIRACLIA no ha aportado a esta Agencia documentación alguna que acredite el consentimiento inequívoco de las denunciantes para el tratamiento de sus datos personales efectuado. En consecuencia, por todo lo que antecede, se considera infringido el artículo 6.1 de la LOPD por parte de MIRACLIA y que es responsable de dicha infracción al artículo citado. III Antes de continuar con el análisis de los hechos, se hace obligado indicar, vistas las alegaciones de MIRACLIA sobre la consideración de que en el presente caso concreto no se tratan datos personales de las personas denunciantes, que en el artículo 2.
  9. a)de la Directiva 95/46/CE se definen los datos personales como “toda información sobre una persona física identificada o identificable (el interesado); se considerará identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un número de identificación o uno o varios C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/16 elementos específicos, característicos de su identidad física, fisiológica, psíquica, económica, cultural o social”. Por su parte, la LOPD define el dato de carácter personal en su artículo 3 a): “cualquier información concerniente a personas físicas identificadas o identificables”. Y el artículo 4 del ya mencionado Reglamento Europeo de Protección de datos define dato personal como “información sobre una persona física identificada o identificable (<el interesado>); se considera persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona”. En este contexto comunitario, se puede mencionar el Dictamen 4/2007 sobre el concepto de datos personales, emitido por el mencionado órgano consultivo Grupo del Artículo 29, en relación con los elementos que obran como identificadores de las personas físicas, directa o indirectamente, viene a señalar lo siguiente: “Esta idea se aclara aún más en los comentarios a los artículos de la propuesta modificada de la Comisión, en donde se afirma que “una persona puede ser identificada directamente por su nombre y apellidos o indirectamente por un número de teléfono, la matrícula de un coche, un número de seguridad social, un número de pasaporte o por una combinación de criterios significativos (edad, empleo, domicilio, etc.) que haga posible su identificación al estrecharse el grupo al que pertenece. “Los términos de esta declaración indican claramente que el que determinados identificadores se consideren suficientes para lograr la identificación es algo que depende del contexto de la situación de que se trate. Un apellido muy común no bastará para identificar a una persona –es decir, para aislarla – dentro del conjunto de la población de un país, mientras que es probable que permita la identificación de un alumno dentro de una clase. Incluso una información auxiliar, como, por ejemplo, el hombre que lleva un traje negro, puede identificar a alguno de los transeúntes que esperan en un semáforo. Así pues, el que se identifique o no a la persona a la que se refiere una información depende de las circunstancias concretas del caso”. Y en el presente caso concreto, aparte del número de teléfono (que si bien, en principio, por sí solo podría no ser considerado dato personal, “ayuno de otras circunstancias que identifiquen o pudiesen permitir identificar al titular del mismo impide que pueda encajarse en la definición legal de dato de carácter personal”, en palabras de la Audiencia Nacional, en su sentencia de 17 de septiembre de 2008, rec. 353/2007), MIRACLIA procede a registrar también la voz de las personas denunciantes a través de la oportuna grabación de la broma, susceptible de ser difundida. En relación con la grabación de voz, el Informe 497/2007 del Gabinete Jurídico de esta Agencia afirma que “la grabaciones de sonido, permitirán identificar a una persona, más aún sí esa grabación se adjunten a un expediente y por ello quedarán incluidas en el ámbito de aplicación de la Ley Orgánica 15/1999”. En el mismo sentido se ha manifestado la Audiencia Nacional. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/16 A esto último, añadir que la sentencia de la Audiencia Nacional de fecha 19 de marzo de 2014 (rec.176/2012) dice que “la voz de una persona constituye dato de carácter personal, tal y como se deduce de la definición que del mismo ofrece el artículo 3.
  10. a)de la LOPD, como <<cualquier información concerniente a personas físicas identificadas o identificables>>, cuestión esta que no resulta controvertida”. Para concluir, decir que el Considerando 26 de la citada Directiva advierte que para determinar si una persona es identificable, hay que considerar el conjunto de medios que puedan ser razonablemente utilizados por el responsable del tratamiento, o por cualquier otra persona, para identificar al interesado. En todo caso, reiterar que, al final de la locución de la broma, se informa que el teléfono en cuestión “ha sido proporcionado por un amigo o conocido suyo” y que: “Salvo que Ud. nos comunique su oposición, sus datos personales formarán parte de un fichero titularidad de Miraclia Telecomunicaciones, S.L.”. Por ello, resulta incongruente la alegación de MIRACLIA con lo expuesto en el párrafo anterior, pues se ha alegado que la actividad en cuestión analizada estaría excluida de la LOPD, al incidir en el campo doméstico del “abromado” y la persona que quiere gastar la broma contratada a través de esa app, una relación íntima y personal entre ellos. Se alega en consecuencia que el tratamiento no excede de ese ámbito doméstico, con el objeto de mantener una relación social. Pero lo cierto es que los datos personales de las denunciantes son incorporados a un fichero de titularidad de la entidad denunciada; sin ser informadas previamente de tal registro, en especial, de su finalidad. En consecuencia, se refuerza el argumento de que estamos ante el registro de datos personales en un fichero, de lo que por otra parte se facilita el acceso al que así lo solicite. Ello, con independencia de la habilitación legal que exista para todo tratamiento o se cuente por parte del responsable del oportuno y preceptivo consentimiento previo informado del afectado, y esto último, aquí, no ha sido así, como se ha denunciado y se ha acreditado en el presente procedimiento sancionador. Por lo tanto, las alegaciones de MIRACLIA en relación con todo ello deben ser desestimadas. IV El artículo 44.3.
  11. b)de la LOPD considera infracción grave: “Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo”. En el presente caso, MIRACLIA ha tratado los datos personales de las personas denunciantes sin su consentimiento y ha conculcado el principio del consentimiento regulado en el artículo 6.1 de la LOPD que encuentra su tipificación en el artículo 44.3.
  12. b)de dicha norma. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/16 V El artículo 45 de la LOPD, en sus aparatados 2 a 5, establece que: «2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  13. a)El carácter continuado de la infracción.
  14. b)El volumen de los tratamientos efectuados.
  15. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  16. d)El volumen de negocio o actividad del infractor.
  17. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  18. f)El grado de intencionalidad.
  19. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  20. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  21. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  22. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  23. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  24. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  25. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  26. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  27. e)Cuando se haya producido un proceso de fusión por absorción y la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/16 infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.» El apartado 5 del artículo 45 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer "la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad el imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. En el presente caso concreto, y tal como ya se indicaba en el Acuerdo de inicio del presente procedimiento sancionador, se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el artículo 45.5.a), por la posible existencia de una cualificada disminución de la culpabilidad y la antijuridicidad, por concurrencia de varios supuestos previstos en el apartado 4 de ese artículo 45 de la LOPD, en concreto: 1. Por el volumen de negocio (apartado 4.d), toda vez que estamos ante un empresa con un capital social de 6.000 € y 2. En relación con el grado de intencionalidad (apartado 4.f), puesto que la entidad contaba con la aceptación por parte de sus clientes, según las condiciones de uso ya detalladas de la aplicación en cuestión, de que esos usuarios de la aplicación en cuestión contaban con el consentimiento de las denunciantes para la realización de tal broma. Una vez aplicada la reducción que establece el apartado 5 del artículo 45 de la LOPD, procede graduar la sanción teniendo en cuenta que son dos personas afectadas y dada la naturaleza de los perjuicios causados a las denunciantes, es aplicable al presente caso concreto lo previsto, como agravante, en el apartado 4.
  28. b)y en el apartado 4.
  29. h)del citado artículo 45 de la LOPD. Por todo ello procede la imposición de una sanción de 6.000 € por la infracción grave cometida. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad MIRACLIA TELECOMUNICACIONES S.L. con CIF I.I.I., por una infracción del artículo 6 de la LOPD, tipificada como grave en el artículo 44.3.
  30. b)de la LOPD, una multa de 6000 € (seis mil euros), de conformidad con lo establecido en el artículo 45 apartados 2 y 5 de la citada LOPD. SEGUNDO: NOTIFICAR TELECOMUNICACIONES S.L. la presente resolución a MIRACLIA TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva una vez sea ejecutiva la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.
  31. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, en el plazo de pago voluntario que señala el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/16 artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.